Az IPv6 elõnyei között szokták emlegetni, hogy sokkal biztonságosabb, mint a jelenleg széles körben használt IPv4. A valóságos kép azért ennél árnyaltabb.
Az internet technológiájának „gerincét” adó IP protokoll továbbfejlesztésének, az IPv4 felváltásának az IPv6-tal elsõsorban az volt a célja, hogy megnöveljék a rendelkezésre álló egyedi internetcímek számát. Az IPv6 ennek maradéktalanul eleget tesz, az elméleti-leg lehetséges IP-címek száma 4,3 mil-liárdról 3,4×1038-ra nõtt. A késõbbiekben mind a felhasználói várakozásokban, mind az új technológiát kiszolgáló eszközöket gyártó cégek kommunikációjában hangsúlyosabb szerepet kapott az új protokoll biztonságosabb volta – mindez aztán odáig fajult, hogy lassan mindenki tényként kezelte: az IPv6 használata önmagában is növeli az internetes biztonságot.
Nem kötelezõ
E meggyõzõdés kialakulása még az 1990-es évekre, az IPv6 fejlesztésének idejére nyúlik vissza. A biztonság már a tervezés fázisában is szempont volt, ezért kimondottan az IPv6-hoz kifejlesztették az IPSec biztonsági protokollt; ennek beépítését a szabvány kidolgozását felügyelõ IETF egy korai specifikációban kötelezõvé tette. Vagyis a helyzet az, hogy az IP protokoll nem önmagától biztonságos, hanem egy külön biztonsági protokoll beépítése teheti azzá. Ez viszont azt is jelenti, hogy csupán az IPSec kötelezõ beépítése miatt az IPv6 nem feltétlenül biztonságosabb, mint elõdje, az IPv4.
Először is a biztonságot nem az IP egyik vagy másik verziója kínálja, hanem az IPSec által megvalósított titkosítás – legyen szó akár az IPv4-re, akár az IPv6-ra alapozott hálózatokról. Másodszor az IPv6 késõbbi specifikációi-ban már nem szerepel kötelezõ követelményként az IPSec. Ennek megfelelõen számos IPv6-rendszert a biztonsági protokoll nélkül építenek ki. Végül a harmadik tényezõ magával az IPSec-kel függ össze. A biztonsági protokoll képes titkosítani a hálózati adatforgalmat, de ez csak egyetlen eleme a hálózati biztonság garantálásának. Ugyanakkor az IPSec nem véd meg a vírusok, férgek és kémprogramok ellen, nem birkózik meg az elosztott szolgáltatásmegtagadási (DDoS-) támadásokkal, hogy csak néhány veszélyfajtát említsünk. Ezeknek a támadásoknak a jó része az alkalmazások szintjén történik, miközben az IPSec (akárcsak az IP protokoll mindkét verziója) a hálózati szinten mûködik. Az IPv6 mérhetetlen címtartománya nagymértékben megnehezíti ugyan az IP-címek átfésülésére és kikeresésére alapozott támadásokat, de számos kockázatot egyáltalán nem mérsékel.
Alvó, de veszélyes funkciók
Mi több, az IPv6 – elõdjénél kevésbé kiforrott technológia lévén – fel is vet bizonyos biztonsági problémákat. A legtöbb hálózati eszköz és operációs rendszer ma már felkínálja az IPv6 használatának lehetõségét – és ezek a képességek akkor is ott vannak, ha a felhasználó esetleg kizárólag az IPv4-et alkalmazza. A viszonylag új IPv6-hoz rendszeresen jelennek meg frissítések; azok a cégek, szervezetek azonban, amelyek nem használják a technológiát, nem is telepítik ezeket, mondván, õket nem érintik a problémák. Ez viszont korántsem igaz: ha a vállalat védelmi rendszere nem készült fel az IPv6 hiányosságait kihasználó támadásokra, akkor egy véletlenül aktivált új funkció is komoly veszélyeket jelenthet.
Nehéz egymás mellett élés
A belátható jövõn belül a két technológia mindenképpen együtt fog élni, és meg kell valósítani a két verzió együttmûködését. Erre több módszer is kínálkozik: a tunneling, vagyis az IPv6-csomagok beágyazása IPv4-formátumú adatcsomagokba; a „dual-stack” módszer, amikor a hálózati eszközökön az IPv4-nek és az IPv6-nak megfelelõ szoftvereket egyaránt telepítik; végül a fordítás, amikor az adatcsomagokat lefordítják a másik protokoll nyelvére, hogy azok az eszközök is megértsék, amelyek csak az egyik változatot támogatják. Az ilyen vegyes környezetek – alkalmazzák bármelyik módszert is – éppenséggel nem csökkentik, hanem növelhetik a biztonsági kockázatokat, hiszen bonyolultabbá teszik a hálózat felépítését és felügyeletét.
Schopp Attila
